520.4.1・Atlassian Guard & advanced administration 16%
Managed accounts 與網域驗證
驗證網域、claim 帳號之後，organization 才能完整管理員工的 Atlassian 帳號，也才能套用 Atlassian Guard 的安全政策。這一節考你分清 managed account 與 external user，以及停用、刪除的差別。
官方考綱原文（這一節會考的範圍）
- Manage product access for both non-managed and managed accounts（新版能力清單）管理 non-managed 與 managed 帳號的 app 存取
- Understand what managed accounts are: Some or all of the Atlassian accounts with email addresses from your verified domain(s)了解 managed account：已驗證網域底下 email 的部分或全部 Atlassian 帳號
- Managed accounts give you the most security and access control over a company's use of Atlassian productsManaged account 讓公司對 Atlassian 產品的使用有最大的安全與存取控制
- Verify a domain either through HTTPS or DNS TXT用 HTTPS 或 DNS TXT 驗證網域
- Understand where to access them under Directory > Managed accounts知道在 Directory > Managed accounts 找到它們
- Understand rules for managed and un-managed accounts了解 managed 與 un-managed 帳號的規則
- View a managed user account / Edit a managed account / Deactivate a managed account / Delete a managed account檢視、編輯、停用、刪除 managed account
3 分鐘速覽
先驗證網域，再 claim 帳號，才是 managed account
- Managed account 的條件要先驗證 email 網域、再 claim 帳號，兩步都做完才是 managed account。同網域但還沒 claim 的帳號，仍是 external user。
- 三種驗證方法HTTPS（把 HTML 檔放到網站根目錄）、DNS TXT record，或連接 Google Workspace／Microsoft Entra ID 讓網域自動驗證。gmail.com 這類公用網域不能驗證。
- Claim 全部或部分Claim 全部會連之後新建的帳號一起自動 claim，適合 SAML Just-in-time；部分 claim 要上傳 CSV（每檔最多 10,000 筆、5MB）。
- Unclaim 不影響存取Unclaim 後帳號不再是 managed，也離開 authentication policy，但使用者保有原本的 app 存取。移除網域同樣讓帳號不再是 managed；官方沒提到會收回存取（推論為不影響）。
- 能對 managed account 做的事改資料與 email、reset password、reset two-step verification、強制登出、撤銷 API token。從 IdP 同步來的帳號只能在 IdP 改。
- Deactivate 與 deleteDeactivate 可隨時 reactivate；delete 有 14 天可取消，之後永久刪除、名稱改成 Former user。兩者都只能用在 managed account。
資料來源（5）有疑慮時點開看官方原文
- What are managed accounts?
To manage an Atlassian account, you have to verify the email domain to prove you own it and claim the account.
- Verify a domain to manage accounts
You can’t verify ownership of a public domain, such as gmail.com.
- Verify a domain to manage accounts
We claim all existing accounts and any new accounts as they are created.
- Verify a domain to manage accounts
Even though these accounts are no longer managed, users still keep their app access.
- Deactivate a managed account
You can only delete or deactivate managed accounts.
驗證網域
Directory → Domains：證明這個網域是你的
驗證網域是 managed account 的第一步。你向 Atlassian 證明公司擁有某個 email 網域（例如 acme.com）之後，才能接著 claim 這個網域底下的 Atlassian 帳號。這件事只有 organization admin 能做，所有方案都可以用。
| 方法 | 怎麼做 | 要注意 |
|---|---|---|
| HTTPS | 從 Domains 頁下載 atlassian-domain-verification.html，上傳到網站根目錄 | 要用 HTTPS 與有效憑證（自簽憑證不行），只接受一次轉址到 www |
| DNS TXT | 複製 TXT record，加到 DNS 主機（TTL 建議 86400） | DNS 生效最多可能要 72 小時，期間顯示 UNVERIFIED |
| Google Workspace／Microsoft Entra ID | 把 IdP 連到 organization | IdP 底下的網域會自動驗證 |
這張表最該記的：HTTPS 與 DNS TXT 是考綱點名的兩種方法。驗證成功後 Atlassian 會定期檢查那個檔案或 TXT record，如果被刪掉，網域會失去驗證狀態，連帶 SAML SSO 等安全政策也會失效。
| 狀態 | 意思 |
|---|---|
| Verified | 至少有一種方法驗證成功，可以 claim 帳號 |
| Verified (missing token) | 部分方法的檔案或 record 不見了，但還有方法有效 |
| Verified (expires soon) | 所有方法都缺 token；14 天內沒補驗證就變 Unverified，managed account 會變成 unclaimed |
| Unverified | 沒完成驗證，或原本的方法失效 |
考題長相
「公司有 us.acme.com 與 eu.acme.com 兩個子網域，已經驗證了 acme.com，子網域的帳號為什麼還不能 claim？」答案是子網域要各自驗證，Atlassian 不會自動驗證子網域。官方也建議同一個網域用兩種方法驗證（例如 DNS＋HTTPS），一種失效時還有備援。
自我檢查：先在心裡回答，再點開對答案
Q1同事想驗證 gmail.com，好把用 Gmail 的外包人員變成 managed account。可以嗎？看答案
不行。公用網域不能驗證；官方建議請對方改用你能驗證的網域的 email。
資料來源（5）有疑慮時點開看官方原文
- Verify a domain to manage accounts
Upload an HTML file to the root folder of your domain's website.
- Verify a domain to manage accounts
Copy a TXT record to your domain name system (DNS).
- Verify a domain to manage accounts
Connect these identity providers to your Atlassian organization, and any domains associated with the identity provider will be automatically verified for your organization.
- Verify a domain to manage accounts
If you don’t verify your domain within 14 days, your domain verification status will change to Unverified and any managed accounts with this domain will become unclaimed.
- Verify a domain to manage accounts
Because we don’t automatically verify sub domains, such as us.acme.com and eu.acme.com, you need to manually verify each subdomain as well.
Claim 帳號
驗證完網域，還要 claim 才算 managed
驗證網域只證明「網域是你的」；要真正管理帳號，還要 claim。Claim 之後，Atlassian 會通知使用者他的帳號現在由你的 organization 管理。因為任何人都能用公司 email 自己註冊 Atlassian 帳號，claim 時看到的帳號常常比你預期的多，官方建議先在 Domains 頁 Export users 匯出 CSV 檢查。
| 設定 | 效果 | 適合 |
|---|---|---|
| Claim accounts（全部） | Claim 所有現有帳號，之後新建的帳號也自動 claim，並加進 default authentication policy | IT 集中管理；用 SAML Just-in-time 建帳號 |
| Claim 部分帳號（CSV） | 上傳單欄 email 的 CSV（每檔最多 10,000 筆、5MB），只 claim 檔案裡的人 | IT 分散在不同部門 |
| Unclaim accounts | 不再管理這些帳號，從 authentication policy 移除；使用者保有 app 存取 | 誤 claim、交還給別的團隊 |
| Remove domain | 整個網域的使用者都不再是 managed account，也不受 authentication policy 約束 | 公司不再擁有這個網域 |
這張表最該記的：Unclaim 不會拿掉使用者的 app 存取，只是你不再能管理他的帳號（官方明寫）。Remove domain 官方只說這些使用者不再是 managed account、不受 authentication policy 約束，沒有提到收回 app 存取，所以推論也不影響存取。另外，用 IdP 做 user provisioning 時，同步進來的帳號會自動 claim。
帳號已被別的 organization claim
一個帳號同時只能被一個 organization claim。若帳號已被別的 organization claim，可以請對方 admin 釋放；如果你控制該網域的 DNS，也可以移除對方的驗證 token，claim 會在 30 天後自動釋放。
資料來源（6）・1 點無官方原文有疑慮時點開看官方原文
- Verify a domain to manage accounts
Choose this setting if you provision accounts with SAML Just-in-time.
- Verify a domain to manage accounts
When you choose to claim some accounts, you manually upload a CSV file of the accounts you want to claim.
- Verify a domain to manage accounts
To find out which accounts on your domain have Atlassian accounts, you can export and review a list of the accounts before you claim them.
- Verify a domain to manage accounts
If you provision users with your identity provider to your organization, we automatically claim the accounts.
- Verify a domain to manage accounts
After the token is removed, the claim will be released automatically after 30 days.
- Verify a domain to manage accounts
These users are no longer managed accounts and won’t appear in your authentication policies.
- 找不到官方原文：Remove domain 不影響 app 存取Verify a domain 頁只對 Unclaim 明寫 users still keep their app access；Remove domain 只寫使用者不再是 managed、不受 authentication policy 約束，沒提 app 存取。「不影響存取」是推論。
管理帳號
Managed account 能改什麼、在哪裡改
到 Directory → Users，用 Account type 篩選 Managed accounts，就能看到所有 managed account（考綱寫 Directory → Managed accounts，部分現行文件也這樣寫）。點進某個人，可以做下面這些事；這些都是 external user 做不到的。
| 動作 | 位置 | 結果 |
|---|---|---|
| Edit details | 使用者頁 → Edit details | 改姓名、職稱等資料 |
| 改 email | 使用者頁的 email 欄位 | 新 email 的網域必須是你已驗證的網域 |
| Reset password | 使用者頁 ••• → Reset password | 10 分鐘內登出，下次登入要改密碼 |
| Reset two-step verification | Security 分頁 → Authentication policies 表格 ••• | 使用者可以重新設定 2SV（例如手機遺失） |
| 強制登出裝置 | Security 分頁 → Recent devices → Log out | 瀏覽器 session 立刻登出；不是永久封鎖 |
| 撤銷 API token | Security 分頁 → API tokens → Revoke | 這把 token 被永久刪除，無法復原 |
這張表最該記的：如果帳號是從 identity provider 同步來的，上面的資料只能在 IdP 改，不能在 Atlassian Administration 改。另外，managed account 若還沒驗證自己的 email，你也無法修改他的帳號；這時要先從使用者頁的 Managed account 選單 Resend verification email。
資料來源（5）有疑慮時點開看官方原文
- What are managed accounts?
Use the Account type filter and select Managed accounts.
- Make changes to a managed account
If the user is synced from an identity provider, updates to the account can only be made from the identity provider.
- Make changes to a managed account
You can’t update the email address to one on a domain you don’t own.
- Make changes to a managed account
When you reset the password of a managed account, we log them out within 10 minutes.
- What are managed accounts?
If a managed account hasn’t verified their email address, you’re unable to make changes to their account.
停用與刪除
Deactivate、delete、suspend、remove 怎麼選
Deactivate account
只限 managed account
- 暫時關閉整個 Atlassian 帳號，所有 organization 都不能用
- 停止計費；隨時可以 Reactivate
- 保留個人資料與角色、group
- 使用者會收到 email，說只有 admin 能重新啟用
Delete account
只限 managed account
- 先停用 14 天，期間可 Cancel deletion
- 14 天後永久刪除，不能加速
- 名稱改成 Former user；他建立的 page、issue、comment 不會被刪
- IdP 沒先移除，帳號會被重新建立
| 你想要 | Managed account | External user |
|---|---|---|
| 暫時拿掉存取、之後完整還原 | Deactivate（或 suspend） | Suspend access |
| 永久不再使用 | Delete account | Remove user（只能移出你的 organization） |
| 由 IdP 管理的使用者離職 | 在 IdP 停用或刪除 | — |
這張表最該記的：external user 不是你的帳號，所以只能 suspend 或 remove，不能 deactivate 或 delete。反過來，managed account 若只是暫時離開，官方建議用 deactivate 保留角色與 group，而不是 delete。
考題長相
「公司用 Okta 做 user provisioning，admin 在 Atlassian Administration 刪除了一位離職員工的帳號，幾天後這個帳號又出現了。原因？」答案是 IdP 裡沒先移除這個人。官方要求：用 IdP provisioning 時，要先在 IdP 移除使用者再刪帳號；停用也要在 IdP 做。
資料來源（5）有疑慮時點開看官方原文
- Deactivate a managed account
Deactivate an account to temporarily close an Atlassian account.
- Deactivate a managed account
If your organization doesn’t manage the account you no longer need, you can suspend the user's access instead.
- Delete a managed account
Once you delete an account, we’ll deactivate the account for 14 days to comply with mandatory security and legal compliance requirements.
- Delete a managed account
If you think the account will need access to your organization again, deactivate the account instead to retain their roles and group membership.
- Delete a managed account
If you don’t remove the user from your identity provider, their Atlassian account will get created again and they'll still be able to log in.
易錯觀念
考題愛用的錯誤說法
用公司網域註冊的帳號就是 managed account。
還要驗證網域並 claim 帳號；沒 claim 的仍是 external user。
官方 Acme 範例中，Jane 用 acme.com 但沒被 claim，所以是 external user。
驗證 acme.com 之後，子網域 eu.acme.com 也一起驗證了。
子網域不會自動驗證，要一個一個驗證。
每個子網域都要重做一次驗證流程。
Unclaim 帳號會一併拿掉他的 app 存取。
Unclaim 只是不再管理帳號、移出 authentication policy；app 存取不變。
要收回存取，另外移除 app 角色或 suspend。
External user 離職，可以直接 deactivate 他的帳號。
Deactivate 與 delete 只能用在 managed account；external user 只能 suspend 或 remove。
帳號不屬於你的 organization，你就不能關閉它。
刪除 managed account 後立刻永久消失。
會先停用 14 天，期間可以取消；14 天後才永久刪除。
這 14 天是法遵要求，不能加速。
從 IdP 同步來的帳號，也能在 Atlassian Administration 改名字。
IdP 同步的帳號只能在 IdP 改。
連接 IdP 後，使用者屬性由 IdP 負責。
資料來源（6）有疑慮時點開看官方原文
- What are managed accounts?
If you don’t claim an account from a verified domain, we consider this account an external user to your organization.
- Verify a domain to manage accounts
Because we don’t automatically verify sub domains, such as us.acme.com and eu.acme.com, you need to manually verify each subdomain as well.
- Verify a domain to manage accounts
Even though these accounts are no longer managed, users still keep their app access.
- Deactivate a managed account
You can only delete or deactivate managed accounts.
- Delete a managed account
During this period, you can cancel the deletion if you need to.
- Make changes to a managed account
If the user is synced from an identity provider, updates to the account can only be made from the identity provider.
動手做
實作 Lab：看懂 Domains 頁，分辨 managed 與 external
第一次做 Lab？先看 Lab 環境準備：用測試站台、準備測試帳號。畫面名稱可能隨 Atlassian 更新而不同，以下以現行畫面為準。
目標：找到驗證網域與 claim 帳號的畫面，確認 Lab Org 裡的測試帳號都是 external user；有自己網域的人實際驗證一次。
這個 Lab 對應的考點
Managed account＝驗證網域＋claim 帳號；external user 只能 suspend 或 remove；deactivate 與 delete 只能用在 managed account。
準備
- Leo、Kim 已接受邀請（用 Gmail 別名，屬於不能驗證的公用網域）。
- （選做）一個你能修改 DNS 的網域，例如 yourname.dev；並用它的 email 另外註冊一個可丟棄的測試帳號 test@yourname.dev。
步驟
- 你應該看到：通常看得到驗證網域的入口（Verify domain），驗證方式有 HTTPS 與 DNS；還沒驗證過網域時，表格是空的。
- 你應該看到：網域出現在表格。DNS 還沒生效時會顯示 UNVERIFIED；官方說最多可能要 72 小時。（沒有網域：只看不做。）
- 你應該看到：幾分鐘內收到 email，附 CSV 下載連結（24 小時內有效）；CSV 列出這個網域已存在的 Atlassian 帳號。
- 你應該看到：完成後收到 email；test@yourname.dev 變成 managed account，其他同網域帳號仍是 external user。
- 你應該看到：沒有驗證網域時清單是空的；Leo、Kim 不會出現，因為 gmail.com 這類公用網域不能驗證。有做步驟 4 的人只看到 test@yourname.dev。
- 你應該看到：通常會看到 suspend、remove 這類選項，但沒有 Deactivate account、Delete account，也不能 Edit details：Leo 是 external user。
- 你應該看到：看得到 Reset password、Deactivate account、Delete account；Security 分頁有 Authentication policies、Recent devices、API tokens 表格。
試試看：改一個設定，觀察差異
T1（有做步驟 4 才做）對 test@yourname.dev 選 Deactivate account，再用它登入 labjira；接著回來選 Reactivate account。看結果
停用後立刻無法登入，名稱後面加上 (Deactivated)；重新啟用後立刻恢復。這就是「暫時關閉、可完整回來」。
T2（想像，不實際做）對 test@yourname.dev 選 Delete account，三天後又想救回來。看結果
14 天內可以 Cancel deletion；超過 14 天就永久刪除，名稱改成 Former user。這 14 天不能加速。
T3（有做步驟 4 才做）在 Domains 頁用 Unclaim accounts 上傳同一個 CSV，再用 test@yourname.dev 打開 labjira。看結果
他仍能使用 labjira：unclaim 只讓你不再管理這個帳號、把它移出 authentication policy，不會拿掉 app 存取。
心像錨點：閉上眼睛想一次這個畫面
Domains 表格裡一列 yourname.dev 狀態 Verified，旁邊是 Claim accounts；Users 頁的 Account type 篩選器切到 Managed accounts。先驗網域、再 claim 帳號。
收尾
- test@yourname.dev 若被停用，Reactivate 回來；要丟棄就 Delete account（只對這個測試帳號）。
- 不打算保留驗證的話，在 Domains 頁 Remove domain，並從 DNS 刪掉 TXT record。官方說 remove domain 後這些帳號不再是 managed account、不受 authentication policy 約束；沒提到會收回 app 存取（推論不影響）。
資料來源（4）有疑慮時點開看官方原文
- Verify a domain to manage accounts
From the DNS tab, copy the txt record to your clipboard.
- Verify a domain to manage accounts
You will receive an email with a link to the CSV file.
- What are managed accounts?
Use the Account type filter and select Managed accounts.
- Deactivate a managed account
Once you deactivate an account, the account will lose access to Atlassian account services immediately.
一分鐘腦內整理
讀完了？用這張收攏整節
先驗網域、再 claim 帳號兩步都做完才是 managed account。
停用可回來、刪除等 14 天Deactivate 隨時 reactivate；delete 14 天內可取消。
Directory → Domains：證明這個網域是你的
- 驗證方法：HTTPS、DNS TXT（或 Google Workspace／Entra ID 自動驗證）。
- 子網域要各自驗證；token 被刪掉，網域會失去驗證狀態。
驗證完網域，還要 claim 才算 managed
- Claim 全部＝新帳號也自動 claim（配合 SAML JIT）；部分＝CSV。
- Unclaim 不影響 app 存取（remove domain 推論相同）。
Managed account 能改什麼、在哪裡改
- IdP 同步的帳號只能在 IdP 改。
- 改 email：新網域要先驗證。
Deactivate、delete、suspend、remove 怎麼選
- 只有 managed account 能 deactivate／delete。
- Delete 有 14 天緩衝；external user 只能 suspend／remove。
本節練習
做題
題目載入中…
官方來源（本節依據）
本教材為原創整理，非 Atlassian 官方出版品；題目皆為原創，不含第三方題庫題幹。官方文件近年改用新名稱：product 改稱 app、Atlassian Access 改為 Atlassian Guard、project 改稱 space。考試與舊文件的說法並陳。